CN103139201B

CN103139201B - 一种网络策略获取方法及数据中心交换机

Info

Publication number: CN103139201B
Application number: CN201310023061.5A
Authority: CN
Inventors: 李伟祯
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2013-01-22
Filing date: 2013-01-22
Publication date: 2015-12-23
Anticipated expiration: 2033-01-22
Also published as: CN103139201A

Abstract

本发明公开了一种网络策略获取方法，包括：在接收到数据中心服务器发送的VDP请求报文时，根据所述VDP请求报文携带的自定义可变格式TLV，解析出用户名、密码、以及共享密钥；生成随机认证字，并根据所述密码、共享密钥、随机认证字获取加密密码；发送携带有所述用户名、加密密码、以及随机认证字的访问请求数据包至网管服务器；在网管服务器对访问请求数据包认证成功后，接收网管服务器发送的携有网络策略的访问接收数据包，并执行所述访问接收数据包中的网络策略；本发明还同时公开了一种数据中心交换机，采用本发明，能够保证网络策略的安全性。

Description

一种网络策略获取方法及数据中心交换机

技术领域

本发明涉及数据通信领域，尤其涉及一种网络策略获取方法及数据中心交换机。

背景技术

数据中心交换机作为将虚拟机(VM，VirtualMachine)接入到网络中的设备，必须能够识别出VM的流量，并将相关网络策略，如服务质量(QoS，QualityofService)、访问控制列表(ACL，AccessControlList)等运用在VM流量上，从而实现对VM的流量监管控制等功能。

美国电气和电子工程师协会制订了一套解决方案，可以让数据中心交换机配合VM工作。每个VM都有一个虚拟接口(VSI，VirtualStationInterface)，数据中心服务器中的虚拟层软件通过VSI发现与配置协议(VDP，VSIDiscoveryandconfigurationProtocol)向数据中心交换机发送VDP请求报文；数据中心交换机根据VDP请求报文向网管服务器请求对应的网络策略信息，并运用到数据中心交换机与VSI相连的端口上，实现对VM的流量监管控制。

在实际应用中，网管服务器有可能位于公共网络之中，数据中心交换机向网管服务器请求对应的网络策略信息时，网络策略有可能被黑客截取并篡改，如此，数据中心交换机存在极大的安全隐患。

发明内容

有鉴于此，本发明的主要目的在于提供一种网络策略获取方法及数据中心交换机，能够保证网络策略的安全性。

为达到上述目的，本发明的技术方案是这样实现的：

本发明提供了一种网络策略获取方法，该方法包括：

在接收到数据中心服务器发送的VDP请求报文时，根据所述VDP请求报文携带的自定义可变格式TLV，解析出用户名、密码、以及共享密钥；生成随机认证字，并根据所述密码、共享密钥、随机认证字获取加密密码；发送携带有所述用户名、加密密码、以及随机认证字的访问请求数据包至网管服务器；

在网管服务器对访问请求数据包认证成功后，接收网管服务器发送的携有网络策略的访问接收数据包，并执行所述访问接收数据包中的网络策略。

上述方案中，所述根据密码、共享密钥、随机认证字获取加密密码为：将随机认证字与共享密钥进行MD5计算，并将计算结果和密码进行异或运算，得到加密密码。

上述方案中，所述网管服务器对访问请求数据包认证成功为：

网管服务器根据访问请求数据包中的随机认证字和本地存储的共享密钥进行MD5计算，将计算结果和访问请求数据包中的加密密码进行异或的反向运算，得到密码；当所述密码、及其对应的用户名与网管服务器存储的密码、及其对应的用户名一致时，网管服务器对访问请求数据包认证成功；

或者，网管服务器将访问请求数据包中的随机认证字和本地存储的共享密钥进行MD5计算，将计算结果和本地存储的密码进行异或运算，得到加密密码；当所述加密密码、及其对应的用户名与访问请求数据包中的加密密码、及其对应的用户名一致时，网管服务器对访问请求数据包认证成功。

上述方案中，该方法还包括：在网管服务器对访问请求数据包认证失败后，接收网管服务器发送的访问拒绝数据包。

上述方案中，所述执行访问接收数据包中的网络策略为：将所述网络策略运行在数据中心交换机的端口上，所述端口连接虚拟机中的虚拟端口。

上述方案中，所述VDP请求报文携带的自定义可变格式TLV包括：类型、长度、值。

上述方案中，所述可变格式TLV中的值包括：组织唯一标识符、组织自定义信息；其中，

所述组织唯一标识符由三个字节组成，表示厂商的标识；

所述组织自定义信息包括：密码长度、密码、用户名长度、用户名、共享密钥长度、共享密钥。

本发明提供了一种数据中心交换机，该数据中心交换机包括：第一接收单元、发送单元、第二接收单元、执行单元；其中，

所述第一接收单元，用于接收到数据中心服务器发送的VDP请求报文时，根据所述VDP请求报文携带的自定义可变格式TLV，解析出用户名、密码、以及共享密钥，并将所述用户名、密码、以及共享密钥发送至发送单元；

所述发送单元，用于接收第一接收单元发送的用户名、密码、以及共享密钥，并生成随机认证字；根据所述密码、共享密钥、随机认证字获取加密密码；发送携带有所述用户名、加密密码、以及随机认证字的访问请求数据包至网管服务器进行认证；

所述第二接收单元，用于在网管服务器对访问请求数据包认证成功后，接收网管服务器发送的携有网络策略的访问接收数据包，并根据所述访问接收数据包将策略信息发送至执行单元；

所述执行单元，用于接收第二接收单元发送的策略信息，并执行所述策略信息。

上述方案中，所述发送单元，根据所述密码、共享密钥、随机认证字获取加密密码为：将随机认证字与共享密钥进行MD5计算，并将计算结果和密码进行异或运算，得到加密密码。

上述方案中，所述第二接收单元，还用于在网管服务器对访问请求数据包认证失败后，接收网管服务器发送的访问拒绝数据包。

上述方案中，所述访问接收数据包包括：VSI类型标识、VSI类型版本标识、以及对应于该VSI类型的网络策略。

上述方案中，所述访问请求数据包包括：VSI类型标识、VSI类型版本标识、用户名、加密密码、以及随机认证字。

本发明提供的网络策略获取方法及数据中心交换机，在接收到数据中心服务器发送的VDP请求报文时，根据所述VDP请求报文携带的自定义可变格式TLV，解析出用户名、密码、以及共享密钥；生成随机认证字，并根据所述密码、共享密钥、随机认证字获取加密密码；发送携带有所述用户名、加密密码、以及随机认证字的访问请求数据包至网管服务器；在网管服务器对访问请求数据包认证成功后，接收网管服务器发送的携有网络策略的访问接收数据包，并执行所述访问接收数据包中的网络策略；如此，可以通过对访问请求数据包进行认证的方式来保证网络策略的安全性。

附图说明

图1为本发明网络策略获取方法实现流程示意图；

图2为本发明数据中心交换机的结构组成示意图。

具体实施方式

为了能够更加详尽地了解本发明的特点与技术内容，下面结合附图对本发明的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明。

图1为本发明网络策略获取方法实现流程示意图，如图1所示，该方法包括步骤：

步骤101：数据中心交换机在接收到数据中心服务器发送的VDP请求报文时，根据所述VDP请求报文携带的自定义可变格式(TLV)，解析出用户名、密码、以及共享密钥；生成随机认证字，并根据所述密码、共享密钥、随机认证字获取加密密码；发送携带有所述用户名、加密密码、以及随机认证字的访问请求(Access-Require)数据包至网管服务器；

上述方案中，所述根据密码、共享密钥、随机认证字获取加密密码包括：将随机认证字与共享密钥进行消息摘要算法第五版(MD5，MessageDigestAlgorithm5)计算，并将计算结果和密码进行异或运算，得到加密密码；

上述方案中，所述VDP请求报文中携带一种可变格式，所述可变格式包括：类型(Type)、长度(Length)、值(Value)，所述可变格式称作类型长度值(TLV，TypeLengthValue)；其中，TLV中的Type表示VDP请求报文的类型；TLV中的Length表示整个TLV的长度；TLV中的Value表示VDP请求报文所携带的信息，包括：组织唯一标识符(OUI，OrganizationallyUniqueIdentifier)、组织自定义信息(ODI，OrganizationallyDefinedInformation)；进一步的，所述OUI由三个字节组成，表示厂商的标识；所述ODI包括：密码长度(PasswordLength)、密码(Password)、用户名长度(User-nameLength)、用户名(User-name)、共享密钥长度(ShareKeyLength)、共享密钥(ShareKey)；

这里，所述TLV中的Type在数据中心服务器中根据VDP可以设置为0X7F；

上述方案中，所述VDP请求报文携带关联TLV，从所述关联TLV中可以获取：VSI类型标识(VSITypeID)、VSI类型版本标识(VSITypeVersionID)、VSI标识格式(VSIIDformat)、VSI实例标识(VSIID)；所述关联TLV根据网管服务器设置的VSI数据库进行设置，具体的，数据中心服务器从网管服务器设置的VSI数据库中获取所需的VSI配置信息，如VSITypeID、VSITypeVersionID，并根据VSI配置信息，如所述VSITypeID、VSITypeVersionID，为VM创建VSI实例，所述VSI实例包括：VSIIDformat、VSIID；将所述VSITypeID、VSITypeVersionID、VSIIDformat、VSIID作为关联TLV中的信息；上述方案中，所述VSI数据库由VSI条目组成，每个VSI条目包括：VSITypeID、VSITypeVersionID、以及对应于该VSI类型的网络策略，如QoS、ACL等；

上述方案中，所述VDP请求报文携带VSI网管服务器标识TLV(VSIManagerIDTLV)，从所述VSIManagerIDTLV中可以获取管服务器标识(ManagerID)；

上述方案中，所述ODI通过数据中心交换机与网管服务器之间的远程用户拨号认证服务(RADIUS，RemoteAuthenticationDialInUserService)协议创建；

上述方案中，所述Access-Require数据包的目的IP地址为网络管理服务器的IP地址，即为ManagerID；

上述方案中，所述Access-Require数据包携有信息：VSITypeID、VSITypeVersionID、User-name、加密密码、以及随机认证字；其中，所述VSITypeID、VSITypeVersionID根据VDP请求报文中的关联TLV获取；所述User-name根据VDP请求报文中的ODI获取；所述加密密码根据ODI中的Password、ShareKey、以及生成的随机认证字经过加密获取。

步骤102：在网管服务器对Access-Require数据包认证成功后，数据中心交换机接收网管服务器发送的携有网络策略的访问接收(Access-Accept)数据包，并执行所述Access-Accept数据包中的网络策略；

上述方案中，所述网管服务器对Access-Require数据包认证成功包括：

网管服务器将访问请求数据包中的随机认证字和本地存储的共享密钥进行MD5计算，将计算结果和访问请求数据包中的加密密码进行异或的反向运算，得到密码；当所述密码、及其对应的用户名与网管服务器存储的密码、及其对应的用户名一致时，网管服务器对访问请求数据包认证成功；

本步骤还包括：在网管服务器对Access-Require数据包认证失败后，数据中心交换机接收网管服务器发送的访问拒绝(Access-Reject)数据包；这里，所述Access-Reject数据包表示数据中心交换机认证失败；

上述方案中，所述Access-Accept数据包携有信息：VSITypeID、VSITypeVersionID、以及对应于该VSI类型的网络策略，如QoS、ACL等；其中，所述VSITypeID、VSITypeVersionID分别对应于Access-Require数据包中的VSITypeID、VSITypeVersionID；所述网络策略对应于VSI条目中与VSI类型对应的网络策略；

上述方案中，所述执行Access-Accept数据包中的网络策略具体为：将所述策略信息运行在数据中心交换机的端口上，所述端口连接VM中的VSI，如此，可以对由VM产生的数据流依据所述策略进行监控。

图2为本发明数据中心交换机的结构组成示意图，如图2所示，该数据中心交换机包括：第一接收单元21、发送单元22、第二接收单元23、执行单元24；其中，

所述第一接收单元21，用于接收到数据中心服务器发送的VDP请求报文时，根据所述VDP请求报文携带的自定义可变格式TLV，解析出Password、User-name、ShareKey，并将所述Password、User-name、ShareKey发送至发送单元22；

所述发送单元22，用于接收第一接收单元21发送的Password、User-name、ShareKey，并生成随机认证字；根据所述Password、ShareKey、随机认证字获取加密密码；发送携带有所述User-name、加密密码、以及随机认证字的访问请求数据包至网管服务器进行认证；

所述第二接收单元23，用于在网管服务器对Access-Require数据包认证成功后，接收网管服务器发送的携有网络策略的Access-Accept数据包，并根据所述Access-Accept数据包将网络策略发送至执行单元24；

所述执行单元24，用于接收第二接收单元23发送的策略信息，并执行所述网络策略。

进一步的，所述第二接收单元23，还用于在网管服务器对Access-Require数据包认证失败后，接收网管服务器发送的Access-Reject数据包。

上述方案中，所述发送单元22，根据所述Password、ShareKey、随机认证字获取加密密码为：将随机认证字与共享密钥进行MD5计算，并将计算结果和密码进行异或运算，得到加密密码；

上述方案中，所述VDP请求报文中携带一种可变格式，所述可变格式包括：Type、Length、Value，所述可变格式称作TLV；其中，TLV中的Type表示VDP请求报文的类型；TLV中的Length表示整个TLV的长度；TLV中的Value表示VDP请求报文所携带的信息，包括：OUI、ODI；进一步的，所述OUI由三个字节组成，表示厂商的标识；所述ODI包括：PasswordLength、Password、User-nameLength、User-name、ShareKeyLength、ShareKey；

上述方案中，所述VDP请求报文携带关联TLV，从所述关联TLV中可以获取：VSITypeID、VSITypeVersionID、VSIIDformat、VSIID；所述关联TLV根据网管服务器设置的VSI数据库进行设置，具体的，数据中心服务器从网管服务器设置的VSI数据库中获取所需的VSI配置信息，如VSITypeID、VSITypeVersionID，并根据所述VSITypeID、VSITypeVersionID为VM创建VSI实例，所述VSI实例包括：VSIIDformat、VSIID；将所述VSITypeID、VSITypeVersionID、VSIIDformat、VSIID作为关联TLV中的信息；

上述方案中，所述VSI数据库由VSI条目组成，每个VSI条目包括：VSITypeID、VSITypeVersionID、以及对应于该VSI类型的网络策略，如QoS、ACL等；

上述方案中，所述VDP请求报文携带VSIManagerIDTLV，从所述VSIManagerIDTLV中可以获取ManagerID；

上述方案中，所述ODI通过发送单元22与网管服务器之间的RADIUS协议创建；

上述方案中，所述Access-Require数据包携有Access-Require信息：VSITypeID、VSITypeVersionID、User-name、加密密码、以及随机认证字；其中，所述VSITypeID、VSITypeVersionID根据VDP请求报文中的关联TLV获取；所述User-name根据VDP请求报文中的ODI获取；所述加密密码根据ODI中的Password、ShareKey、以及生成的随机认证字经过加密获取。

上述方案中，所述执行Access-Accept数据包中的网络策略具体为：将所述网络策略运行在数据中心交换机的端口上，所述端口连接VM中的VSI，如此，可以对由VM产生的数据流依据所述网络策略进行监控。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims

1.一种网络策略获取方法，其特征在于，该方法包括：

在接收到数据中心服务器发送的VDP请求报文时，根据所述VDP请求报文携带的自定义可变格式TLV中的组织自定义信息ODI，解析出用户名、密码、以及共享密钥；生成随机认证字，并根据所述密码、共享密钥、随机认证字获取加密密码；发送携带有所述用户名、加密密码、以及随机认证字的访问请求数据包至所述VDP请求报文中携带的网络管理服务器的IP地址对应的网管服务器；所述ODI通过数据中心交换机与网管服务器之间的远程用户拨号认证服务RADIUS协议创建；

2.根据权利要求1所述的方法，其特征在于，所述根据密码、共享密钥、随机认证字获取加密密码为：将随机认证字与共享密钥进行MD5计算，并将计算结果和密码进行异或运算，得到加密密码。

3.根据权利要求1所述的方法，其特征在于，所述网管服务器对访问请求数据包认证成功为：

4.根据权利要求1、2或3所述的方法，其特征在于，该方法还包括：在网管服务器对访问请求数据包认证失败后，接收网管服务器发送的访问拒绝数据包。

5.根据权利要求1、2或3所述的方法，其特征在于，所述执行访问接收数据包中的网络策略为：将所述网络策略运行在数据中心交换机的端口上，所述端口连接虚拟机中的虚拟端口。

6.根据权利要求4所述的方法，其特征在于，所述VDP请求报文携带的自定义可变格式TLV包括：类型、长度、值。

7.根据权利要求6所述的方法，其特征在于，所述可变格式TLV中的值包括：组织唯一标识符、组织自定义信息；其中，

所述组织唯一标识符由三个字节组成，表示厂商的标识；

8.一种数据中心交换机，其特征在于，该数据中心交换机包括：第一接收单元、发送单元、第二接收单元、执行单元；其中，

所述第一接收单元，用于接收到数据中心服务器发送的VDP请求报文时，根据所述VDP请求报文携带的自定义可变格式TLV中的组织自定义信息ODI，解析出用户名、密码、以及共享密钥，并将所述用户名、密码、以及共享密钥发送至发送单元；所述ODI通过数据中心交换机与网管服务器之间的远程用户拨号认证服务RADIUS协议创建；

所述发送单元，用于接收第一接收单元发送的用户名、密码、以及共享密钥，并生成随机认证字；根据所述密码、共享密钥、随机认证字获取加密密码；发送携带有所述用户名、加密密码、以及随机认证字的访问请求数据包至所述VDP请求报文中携带的网络管理服务器的IP地址对应的网管服务器进行认证；

9.根据权利要求8所述的数据中心交换机，其特征在于，所述发送单元，根据所述密码、共享密钥、随机认证字获取加密密码为：将随机认证字与共享密钥进行MD5计算，并将计算结果和密码进行异或运算，得到加密密码。

10.根据权利要求8或9所述的数据中心交换机，其特征在于，所述第二接收单元，还用于在网管服务器对访问请求数据包认证失败后，接收网管服务器发送的访问拒绝数据包。

11.根据权利要求8或9所述的数据中心交换机，其特征在于，所述访问接收数据包包括：VSI类型标识、VSI类型版本标识、以及对应于该VSI类型的网络策略。

12.根据权利要求8或9所述的数据中心交换机，其特征在于，所述访问请求数据包包括：VSI类型标识、VSI类型版本标识、用户名、加密密码、以及随机认证字。